Kolejny poważny błąd w popularnych przeglądarkach
Inżynierowie z firmy Trusteer poinformowali, że znaleźli poważną lukę bezpieczeństwa we wszystkich liczących się na rynku przeglądarkach internetowych. Pozwala ona na wykradzenie poufnych danych, m.in. do konta bankowego, bez użycia fałszywych e-maili. Nowy typ ataku został określony mianem "in-session phishing".
Nowy rodzaj ataku jest bardzo niebezpieczny, gdyż do jego przeprowadzenia nie jest wymagane wysyłanie fałszywych maili, podszywających się pod wiadomości z wiarygodnego źródła. Takie maile bardzo często są odfiltrowywane przez zabezpieczenia skrzynek pocztowych, przez co ich "skuteczność" jest stosunkowo niewielka. Tym razem sytuacja przedstawia się zupełnie inaczej.
Wszystkiemu winne są najpopularniejsze przeglądarki oraz sposób, w jaki korzystają one ze skryptów JavaScript. Znaleziony w silniku JavaScriptu błąd pozwala przy wykorzystaniu pewnych funkcji na określenie, czy dany użytkownik jest zalogowany na stronie internetowej, czy też nie. Stosując odkrytą lukę można doprowadzić do wyświetlenia okna typu pop-up z prośbą np. o weryfikację loginu, hasła oraz pytania pomocniczego do konta bankowego.
Ten sposób ataku może być stosowany do wykradania poufnych danych dotyczących nie tylko elektronicznej bankowości, ale również prywatnych informacji podawanych na jakiejkolwiek stronie wymagającej zalogowania się.
Amit Klein, odpowiedzialny w firmie Trusteer za technologię, nie podał nazwy funkcji, która stwarza możliwość przeprowadzenia tego typu ataku. Stwierdził, że taka informacja byłaby niezwykle użyteczna dla cyberprzestępców i mogłaby spowodować poważne zagrożenie dla użytkowników Internetu na całym świecie.
Producenci najpopularniejszych przeglądarek internetowych zostali już poinformowani o wykrytym niebezpieczeństwie. Można się zatem spodziewać, że już wkrótce pojawią się stosowne uaktualnienia.